PHP sostiene el 70% de la web y su fundación tiene una sola empleada

Dos vulnerabilidades graves en PHP han puesto contra las cuerdas a buena parte de internet durante las últimas semanas. El detalle que convierte el episodio en algo más que un parche rutinario es quién está detrás del lenguaje: según ha explicado su directora ejecutiva a Reuters, la fundación que lo coordina tiene una única empleada a jornada completa, ella misma.

Un lenguaje omnipresente y casi invisible

PHP es un lenguaje de programación de código abierto que se ejecuta en el servidor, es decir, en la máquina que genera las páginas antes de enviarlas a tu navegador. Nació a mediados de los noventa y, pese a su edad, sigue siendo la base de gestores de contenidos y tiendas online muy extendidos. Las estimaciones de W3Techs que cita Xataka lo sitúan en torno al 70% de las webs de las que se conoce su tecnología de servidor.

Con esa cuota cabría esperar una organización robusta detrás. La realidad que describe Elizabeth Barron, directora ejecutiva de la PHP Foundation, es otra: además de ella, el proyecto se apoya en 14 contratistas, la mayoría a tiempo parcial, una junta directiva voluntaria y unos ingresos que dependen de donaciones y subvenciones. Su resumen es contundente: dada la dependencia que tienen empresas y gobiernos de este lenguaje, PHP está «increíblemente infrafinanciado».

Cómo se encadenó la crisis

El origen del problema es antiguo. Una de las vulnerabilidades ya había sido detectada en una revisión interna en 2024, pero entonces no se identificó una forma conocida de explotarla y la corrección resultaba complicada, así que quedó aparcada.

El fallo reapareció desde fuera. Según la cronología recopilada por el desarrollador Simon Willison y recogida por Xataka, la firma de seguridad Calif avisó al equipo el 11 de agosto, OpenAI llegó a la misma conclusión por su cuenta y Wiz lo notificó el 24 tras varios días de investigación. El 20 de octubre se filtraron los identificadores públicos de los dos fallos, lo que obligó al proyecto a adelantar un día la publicación. El parche llegó a continuación.

A partir de ahí, Cloudflare registró millones de intentos de ataque, según declaró su consejero delegado a Reuters. Barron sostiene que la fundación no tiene constancia de que nadie aprovechara los fallos antes de hacerse públicos ni en servidores ya actualizados. Amazon, por su parte, afirma que sus sistemas señuelo —servidores trampa creados para atraer atacantes— detectaron un intento el 17 de octubre desde una dirección IP anonimizada. No se sabe quién estaba detrás ni cómo conocía la vulnerabilidad, y en cualquier caso no se trataba de una web real.

Por qué no basta con actualizar la web

Aquí está la parte incómoda para administradores de sistemas. Los fallos no afectan a un plugin concreto ni a una plantilla: están en el propio PHP. Eso significa que hay que actualizar el intérprete del lenguaje en cada servidor, una operación más delicada que pulsar un botón, porque cualquier salto de versión puede romper la compatibilidad con aplicaciones y extensiones instaladas.

El impacto no se limita a los medios o a las tiendas online. Administraciones públicas, intranets corporativas y aplicaciones internas de empresas de todos los tamaños dependen de este mismo componente. Es el patrón clásico del software libre que sostiene la industria: infraestructura crítica mantenida por muy poca gente y financiada con aportaciones voluntarias.

La inteligencia artificial, de cal y de arena

Barron describe un efecto doble de la IA sobre el proyecto. Por un lado, ayuda a localizar fallos que llevaban una década latentes y acelera tareas de programación, algo valioso cuando faltan manos. Por otro, dispara la carga de trabajo: el proyecto está recibiendo casi el doble de propuestas de cambio de código que hace un año, pero «el número de colaboradores no se ha duplicado». Revisar esas aportaciones recae en un puñado de personas con experiencia suficiente para decidir qué entra y qué no.

El episodio deja una lección poco tecnológica: el eslabón débil de internet no siempre es un algoritmo, a veces es un presupuesto. Y mientras los lenguajes más populares entre desarrolladores acaparan titulares, el veterano que mueve la mayoría de las webs sigue dependiendo de donaciones.